Wissen / Artikel
Stand: 3. November 2026
Ist mein Unternehmen von NIS-2 betroffen?
Seit Dezember 2025 gilt das neue BSI-Gesetz. So prüfen Sie, ob es Sie betrifft.
Ob NIS-2 gilt, hängt in Deutschland von § 28 BSIG ab. Entscheidend sind drei Fragen: In welchem Sektor sind Sie tätig, wie groß ist Ihr Unternehmen, und gibt es einen Sonderfall?
Sektor
Die Anlagen 1 und 2 des BSI-Gesetzes nennen die erfassten Sektoren, zum Beispiel Energie, Gesundheit, digitale Infrastruktur, verarbeitendes Gewerbe und digitale Dienste.
Größe
Besonders wichtige Einrichtungen haben in Sektoren der Anlage 1 mindestens 250 Beschäftigte oder über 50 Mio. Euro Umsatz und über 43 Mio. Euro Bilanzsumme. Wichtige Einrichtungen haben in Sektoren der Anlagen 1 und 2 mindestens 50 Beschäftigte oder je über 10 Mio. Euro Umsatz und Bilanzsumme.
Sonderfälle
Unabhängig von der Größe zählen unter anderem Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Registrys und DNS-Dienste. Für Finanzunternehmen unter DORA gelten die zentralen Pflichten des BSIG nicht, weil DORA an ihre Stelle tritt.
Was dann zu tun ist
Betroffene Einrichtungen registrieren sich innerhalb von drei Monaten beim BSI, setzen Maßnahmen in zehn Bereichen um und melden erhebliche Sicherheitsvorfälle. Die Geschäftsleitung setzt die Maßnahmen um, überwacht sie und nimmt regelmäßig an Schulungen teil.
Quellen
Dieser Beitrag dient der Information und ersetzt keine Rechtsberatung.